Herramientas de IA y RGPD: qué dice cada proveedor

Vas a encontrar muchas listas tituladas herramientas de IA que cumplen el RGPD. Conviene empezar por lo incómodo: esa frase no significa nada. Ninguna herramienta cumple el RGPD por sí sola, igual que ningún archivador cumple el RGPD por sí solo.

El RGPD no regula productos, regula tratamientos. Y el tratamiento lo decides tú: qué datos metes, para qué, cuánto tiempo los guardas y qué contrato has firmado. Un mismo servicio puede estar perfectamente encajado en un negocio y ser un problema en el de al lado.

Dicho eso, la elección de herramienta sí influye, y mucho. Hay preguntas con respuesta documentada, verificable y comparable. Este artículo va sobre esas.

Por qué la etiqueta cumple el RGPD no existe

La AEPD lo explica con claridad en su guía sobre adecuación al RGPD de tratamientos que incorporan inteligencia artificial. El responsable del tratamiento no puede escudarse en el desconocimiento técnico: debe seleccionar con diligencia la solución y auditar que es adecuada. La responsabilidad no se transfiere al comprar un producto.

En sus orientaciones sobre IA agéntica, de febrero de 2026, la Agencia añade una exigencia práctica: el responsable debe diseñar y documentar los flujos de datos del tratamiento, identificando para cada sistema los terceros implicados. Es decir, no basta con saber a quién contratas. Tienes que saber a quién subcontrata él.

Las tres preguntas que sí tienen respuesta documentada

Antes de elegir, hay tres cosas que puedes comprobar en la documentación pública de cualquier proveedor serio. Si alguna no aparece, eso ya es información.

• ¿Firma un contrato de encargado del tratamiento? Busca las siglas DPA o DPD en su centro legal. Si solo tiene términos de consumidor, no hay encargado.
• ¿Usa lo que escribes para entrenar sus modelos? Y sobre todo: ¿por defecto, o solo si lo activas? La diferencia entre esas dos situaciones es la que separa un plan de consumo de uno de empresa.
• ¿Dónde se procesan y almacenan los datos? Muchos proveedores ofrecen regiones. Elegir una no es lo mismo que dejar la opción por defecto.

Qué dice la documentación de cada proveedor

Lo que sigue no es una valoración de cumplimiento. Es un resumen de lo que cada proveedor afirma en sus propias páginas, con el enlace para que lo compruebes tú, porque estas condiciones cambian.

Merece la pena detenerse en tres detalles que no caben en una tabla y que cambian la decisión.

OpenAI documenta que puede conservar entradas y salidas de la API hasta 30 días para prestar el servicio e identificar abusos, y que se puede solicitar retención cero para extremos admisibles. Pero el matiz que más sorprende está en la residencia europea: su documentación enumera lo que queda fuera del perímetro, y ahí están los metadatos del espacio de trabajo, la facturación, los inicios de sesión y los datos que pasan por integraciones externas como la búsqueda web. Activar el buscador saca esa parte del perímetro.

Anthropic tiene un detalle que conviene conocer antes de pulsar el pulgar hacia arriba: si envías comentarios sobre una respuesta, documenta que guarda la conversación relacionada completa en su sistema hasta cinco años. No es el comportamiento normal del servicio, es el precio de dar feedback.

Microsoft es el que más claro lo escribe para un cliente europeo, y también el que no esconde el matiz: el tráfico de la UE se queda dentro del EU Data Boundary, pero el tráfico mundial sí puede enviarse a la UE y a otros países o regiones para el procesamiento del modelo. Que documenten la excepción es buena señal, no mala.

También hay proveedores europeos, como Mistral AI, que ofrecen un Data Processing Addendum en su centro legal. Si el origen europeo te importa, compruébalo en su documentación comercial en lugar de fiarte de la nacionalidad de la marca.

Dónde se guardan tus datos, en realidad

Hay dos preocupaciones distintas que la gente mezcla. Una es dónde se almacena la conversación. Otra es si lo que escribiste queda de algún modo dentro del modelo.

Sobre la segunda, el Comité Europeo de Protección de Datos se pronunció en su Dictamen 28/2024, de 17 de diciembre de 2024. Su conclusión es que un modelo de IA solo puede considerarse anónimo cuando sea muy improbable identificar directa o indirectamente a las personas cuyos datos se usaron para crearlo, y muy improbable extraer esos datos del modelo mediante consultas. La anonimidad se evalúa caso por caso y no se presume.

Sobre la primera, la clave es que enviar datos fuera del Espacio Económico Europeo no es ilegal, es una transferencia internacional que necesita cobertura. La AEPD enumera los mecanismos: decisión de adecuación, garantías adecuadas como las cláusulas tipo de la Comisión o las normas corporativas vinculantes, y las excepciones del artículo 49.

Para Estados Unidos existe una decisión de adecuación, el EU-US Data Privacy Framework, adoptada el 10 de julio de 2023. Y aquí hay una precisión que casi nadie hace: la Comisión escribe que los datos pueden fluir hacia las empresas estadounidenses que participan en ese marco. No cubre al país, cubre a las empresas certificadas, y eso se comprueba una por una en una lista pública. Que tu proveedor sea estadounidense no basta.

Cómo comprobarlo tú en diez minutos

• Entra en el centro legal del proveedor y busca DPA o Data Processing Addendum. Descárgalo y mira si lo puedes firmar con tu plan actual.
• Busca la lista de subencargados o sub-processors. Suele estar enlazada desde el DPA y te dice a quién subcontrata.
• Busca data residency o regions y comprueba si Europa está disponible y si tienes que activarla.
• Busca training en su documentación y distingue el comportamiento por defecto del que depende de un ajuste.
• Guarda una captura con la fecha. Si mañana cambian las condiciones, tendrás constancia de qué decían cuando decidiste.

Ese expediente de cinco puntos, guardado junto a tu registro de actividades, es exactamente el tipo de diligencia que la AEPD describe. No te convierte en cumplidor automático de nada. Te convierte en alguien que puede explicar por qué eligió lo que eligió, que es de lo que trata la responsabilidad proactiva.

Este artículo es información general basada en el RGPD, en fuentes de la AEPD y el CEPD, y en la documentación pública de los proveedores citados, consultada el 2 de octubre de 2026. No es asesoramiento jurídico y Neurona IA no es un despacho de abogados. Ninguna afirmación aquí significa que una herramienta cumpla el RGPD en tu caso: eso depende de tu tratamiento y de tu contrato, y debe valorarlo un abogado o tu asesor.